なぜsettings.phpがwebフォルダーにあるのですか？
デフォルトのインストールでは、settings.phpはsites/default/にあります。公式のDrupal Webサイトには、このファイルの場所の変更に関する推奨事項はありません。セキュリティの潜在的な問題を引き起こしていませんか？Apache Webサーバーを見たことがあります最終的に PHPファイルの解釈に失敗し、想定されるHTMLコンテンツではなく、PHPファイルのコンテンツを純粋なプレーン/テキスト形式で提供します。暗号化されていないデータベース接続ユーザーとパスワードですが、なぜこのように機能するのですか？
あなたは絶対的に正しいです。私は多くの開発者/システム管理者がPHPインタープリターがどこかの時点で失敗するかもしれないというリスクを負わず、dbパスワード（およびAPIキーなどの他の機密データ）をウェブサーバーのdocroot外のファイル。
これがベストプラクティスとしてどこにも記載されていないことに驚いています-少なくとも、drupal.orgでも見つかりませんでした。なぜそれがそのように機能するのか、私には情報がありません。
一部のプロバイダーでは、この機密接続文字列はWebルート（つまり、getpantheon.com）の外部に保存されます。/sites/defaultフォルダーに直接保存する代わりに、常にいくつかのシンボリックリンクを作成できます。